代理检测：在线检测您是否在使用 Clash

[mikewang]

ClashScan

（推荐使用最新 Chrome 内核浏览器） https://mikewang000000.github.io/ClashScan/

代码开源在 GitHub ，页面部署在 GitHub Pages 上。

---

Clash 是一个比较常见的代理软件，有很多衍生版本和 GUI 程序。
不过我最近才发现它是允许 CORS （跨域）的，这带来了不小的安全隐患。

再加上很多 GUI 默认不加 Secret 进行身份验证，即使运行在 127.0.0.1 ，也能被外部网站随时调用。

如果您没有修改默认配置，值得检测一次。

---

• 默认配置下容易检测的：Clash Verge / Clash Verge Rev / ClashX / ClashX Pro / ClashX Meta
• 默认配置下相对安全的：最新的 Clash for Windows / Clash Nyanpasu

[yyzh]

在手机上不能用?没看见有按钮

[ByteCat]

好慢的扫描

[Configuration]

探测 127.0.0.1 的，循环端口。。。scannedPorts++; 难怪这么慢

[GeekGao]

确实是个大问题

[yanyao233]

草，这确实有点危险了

[mikewang]

@yyzh 手机端不用扫了（检测电脑端的

@Configuration @ByteCat
实际上常用端口排在最前面的，十秒内没扫到基本上是安全的。
后面虽然会扫整个 65535 ，实际因为浏览器性能低，而且会漏，作用不大。只是作为理论参考。

[oneisall8955]

openclash 透明代理没有检测到

[mikewang]

@oneisall8955 透明代理等不在 127.0.0.1 上的不会检测到。本质是探测 Clash 在本机的 API 端口。

[lower]

太慢了，懒得等了

[ffnil]

这 Chrome 为啥不阻止网站访问 127.0.0.1

[chinni]

哦扫描本地端口啊 我代理都是在局域网的.. 电脑上啥都没装(

[leilinJune]

应该改什么配置

[yjxjn]

那怎么避免呢？？？如何修改默认配置？

[s4d]

有点吓人哦，怎么把我服务器的配置给读出来了？什么原理？

[epiphyllum]

一个解决方法：使用 NoScript 浏览器扩展屏蔽网页对本地网络发起的请求

[asuraa]

路由上跑的，检测不到

[mikewang]

@leilinJune @yjxjn @s4d 原理是默认端口，并且 API 没有上密码，就被读了。

在 yaml 里面，修改下面两个配置：

external-controller: '127.0.0.1:9090'
secret: 'xxxxxxx'

把 7890 改成随机高位端口，避免扫描； secret 改为随机密码（如果没有这个配置手动加上）。

---

如果被检测并读出服务器配置了，那么你之前可能一直在裸奔（

[gzlock]

1 clash 核心默认打开外部控制功能
2 clash 核心的外部控制功能就是允许跨域的（不然无法使用第三方的外部控制功能 GUI
3 @ffnil 浏览器必然是允许第三方网站读取局域网 ip 资源的
4 @s4d 设置外部控制功能的密钥

其实让这些软件提供个开关切换 启用 / 禁用外部控制功能 即可解决这个问题，楼主的项目正好引发了这个需求

[mikewang]

#10 @ffnil > 这 Chrome 为啥不阻止网站访问 127.0.0.1

一个是本地调试很多都是在 127.0.0.1 ，另外就是向 QQ 一键登录等功能实际上也是在 127.0.0.1 上的，不过它的接口有鉴权。

[ewiglicht]

不是很懂这个原理，不过我的没扫描出来。PC 本地跑 tun 模式。